Il sistema AI Mythos di Anthropic trova i bug rapidamente. I tuoi vecchi bug non corretti rimangono il vero pericolo.

Punti chiave

• Anthropic ha lanciato Mythos, un sistema AI che cerca automaticamente i difetti di sicurezza del software, il 7 aprile 2025.
• Mythos archivia i difetti scoperti come CVE (Common Vulnerabilities and Exposures), i numeri di identificazione univoci che catalogano ogni bug software noto in modo che i fornitori e i difensori possano discutere dello stesso problema.
• Il codice di exploit, il software che trasforma un difetto noto in un attacco funzionante, ora appare entro 3-7 giorni dalla pubblicazione di un bug.
• La maggior parte delle organizzazioni impiega 45 giorni o più per applicare una patch critica, lasciando una finestra di circa sei settimane in cui gli attaccanti possono entrare direttamente.
• Misurare il divario tra il momento in cui un fornitore rilascia una patch e quando arriva su ogni sistema interessato è la metrica singola più importante che la maggior parte delle aziende non sta tracciando.

Anthropic, l'azienda dietro la famiglia di assistenti AI Claude, ha svelato uno strumento chiamato Mythos il 7 aprile 2025. Come riportato per la prima volta da ThreatVectr, Mythos legge il codice software come farebbe un ricercatore di sicurezza umano, solo molto più velocemente, e archivia automaticamente quello che trova come CVE. L'industria della sicurezza ha prontamente iniziato a preoccuparsi dell'ondata di nuove voci che si riverserebbero in un catalogo già sovraccarico.

Questa preoccupazione è fondata. È anche la cosa sbagliata su cui concentrarsi.

Guarda rapporto di violazione dopo rapporto di violazione degli ultimi cinque anni e appare lo stesso schema. Gli attaccanti non hanno trovato uno zero-day intelligente, cioè un difetto che nessuno conosceva ancora. Sono entrati da un difetto che il fornitore aveva già corretto, a volte mesi o addirittura anni prima dell'attacco, che la vittima semplicemente non aveva ancora avuto il tempo di correggere.

Mythos rende effettivamente le aziende meno sicure?

Non direttamente. Ma rende un problema preesistente più difficile da ignorare. Ecco il calcolo. Se la tua organizzazione impiega mediamente 45 giorni per applicare una patch critica, e il codice di exploit funzionante per un nuovo bug appare entro 3-7 giorni dalla divulgazione, sei esposto per quasi sei settimane su ogni flaw serio. Mythos accelera il lato della scoperta di quell'equazione. Non fa nulla riguardo al ritardo dall'altro lato.

Per le persone comuni, questo ha importanza in modo pratico. Le aziende che detengono i tuoi dati medici, i dettagli del tuo conto bancario, la tua cronologia degli acquisti: la loro sicurezza dipende non solo dalla ricerca di bug, ma dalla correzione di quelli che già conoscono. Uno strumento di scoperta più intelligente è utile solo se il processo di patching dietro di esso riesce a stare al passo.

Allora cosa dovrebbero effettivamente cambiare i difensori? Quattro cose risaltano.

Prima, misura la finestra di patching. Non il numero totale di CVE aperti in coda. Il numero di giorni tra il rilascio di una correzione da parte di un fornitore e il raggiungimento di quella correzione su ogni sistema interessato, ordinato in base alla gravità del difetto. Se quel numero non esiste oggi, produrlo è il primo progetto.

Secondo, restringila. Una scadenza di 30 giorni per le patch critiche non è più aggressiva; è il minimo. Per i difetti con codice di exploit funzionante già in circolazione, sette giorni è un obiettivo più difendibile.

Terzo, costruisci un inventario accurato delle risorse, un elenco completo di ogni computer, server e servizio che l'organizzazione effettivamente gestisce. Ogni incident responder ha la stessa storia: il server dimenticato in un ripostiglio, i sistemi dell'azienda acquisita che nessuno ha mappato. La scoperta su scala Mythos troverà quelle macchine prima di qualsiasi team di patching.

Quarto, leggi gli avvisi di sicurezza del fornitore il giorno in cui vengono pubblicati e agisci di conseguenza. Se una correzione critica richiede una riunione del comitato prima di essere distribuita, il processo del comitato stesso è una vulnerabilità.

Mythos non ha compromesso il programma di sicurezza di nessuno. Ha accelerato l'orologio. Se questo ha importanza dipende interamente da quanto tempo la finestra è già stata aperta.